2022/09/30 PCI DSS運用とv4.0対応

by ykliva

Slide 1

Slide 1 text

PCI DSS運用とv4.0対応金澤康道

Slide 2

Slide 2 text

Slide 3

Slide 3 text

Slide 4

Slide 4 text

PCI DSSとは 1

Slide 5

Slide 5 text

Copyright Kanmu, Inc. All right reserved. PCI DSSとは 5 クレジットカード業界のセキュリティ基準 1 ● 加盟店やサービスプロバイダがクレジットカード会員のデータを安全に取り扱うことを目的として策定された ● PCI SSCが運用と管理をしている ● PCI SSCはクレジットカードの国際ブランド5社が共同設立 ● 定期的にバージョンが上がっていて最新はv4.0 共同設立

Slide 6

Slide 6 text

Slide 7

Slide 7 text

Slide 8

Slide 8 text

セキュリティ屋から見るPCI DSS 2

Slide 9

Slide 9 text

Slide 10

Slide 10 text

Copyright Kanmu, Inc. All right reserved. セキュリティ屋から見るPCI DSS 10 ベースラインとして使いやすい 2 各要件が明確に書かれているので合わせていくだけでそれなりのベースが整う。全ての要件に合わせずとも特定の要件に合わせるだけでもそれなりのレベルに上げられる。 ● 要件6に合わせて開発プロセス全体をセキュアにする ● 要件12に合わせて組織全体の情報セキュリティ体制を整えるなど

Slide 11

Slide 11 text

Copyright Kanmu, Inc. All right reserved. セキュリティ屋から見るPCI DSS 11 心の平穏が訪れる 2 ● 各要件に沿ってフローや文書を整えていくと必要なものがだいたい揃う。 ● 監査時には日常作業、定期運用、各種文書や開発コードレビューの記録提出が求められ、結果として形骸化が許されない世界になる。 ● いざというときに「あれが足りてないぞ」「これもなくない？」という事態が減る。

Slide 12

Slide 12 text

Copyright Kanmu, Inc. All right reserved. 最近話題のPolicy as Codeとの親和性がとても高いんじゃないか。日本語ポリシーを書いた場合、それに沿った実装を書くのもチェックするのも手間で証跡も別で集める必要があるが、ポリシーをコードにしてCIに組み込めば、実装がポリシー通りかその場でチェックできるし、日々ポリシーに沿って動いているという証跡にもなる。セキュリティ屋から見るPCI DSS 12 可能性の世界 2

Slide 13

Slide 13 text

カンムのPCI DSS 3

Slide 14

Slide 14 text

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Slide 17

Slide 17 text

Slide 18

Slide 18 text

Slide 19

Slide 19 text

v4.0に向けてカンムがやること 4

Slide 20

Slide 20 text

Slide 21

Slide 21 text

Copyright Kanmu, Inc. All right reserved. v4に向けてカンムがやること 21 ガイドラインのリファクタ 4 ● 秘伝のタレ化しているガイドラインを全面的にリファクタ ● ポリシーとルールがごちゃごちゃしていて読むのに一苦労 ● v4.0対応で大幅な書き換えあるし、いっそこの機会にリファクタしようぜ！ ● ポリシーとルールを分離してポリシーはコードに落とし込んでルールだけ文書として残す(形にしたい)